Risk Modeling (การสร้างแบบจำลองความเสี่ยง) คืออะไร?
Risk Modeling ในความปลอดภัยเครือข่ายเป็นกระบวนการใช้เทคนิคเชิงปริมาณและคุณภาพ เพื่อวิเคราะห์ ประเมิน และทำนายความเสี่ยงด้านไซเบอร์ ที่องค์กรอาจเผชิญ เพื่อสนับสนุนการตัดสินใจในการจัดสรรทรัพยากรและการลงทุนด้านความปลอดภัย
ความเสี่ยงด้านความปลอดภัยเครือข่าย (Cybersecurity Risk) คืออะไร?
ความเป็นไปได้ที่องค์กรจะถูกโจมตี สูญเสียสินทรัพย์สำคัญ หรือได้รับความเสียหายทางชื่อเสียง จากการโจมตีไซเบอร์ สูตรพื้นฐาน:
Risk = Threat × Vulnerability × Impact
หรือแบบละเอียด: Risk = (Threat / Vulnerability) × Likelihood × Impact × Control Effectiveness
โมเดลและเทคนิคการสร้างแบบจำลองความเสี่ยง
1. Threat Modeling (การสร้างแบบจำลองภัยคุกคาม)
วิธีการหลัก 6 แบบ:
- STRIDE - Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege (Microsoft)
- PASTA - Process for Attack Simulation and Threat Analysis (7 ขั้นตอน)
- CVSS - Common Vulnerability Scoring System (มาตรฐานให้คะแนนช่องโหว่)
- Attack Trees - แผนภาพต้นไม้แสดงเส้นทางการโจมตี
- Security Cards - ใช้การ์ดเพื่อสร้างความคิดสร้างสรรค์ในการหาภัยคุกคาม
- Hazard Matrix Methodology - เมทริกซ์ประเมินอันตราย
2. Risk Management Models
- NIST RMF (Risk Management Framework) - กรอบงานจัดการความเสี่ยงของ NIST (7 ขั้นตอน)
- ISO 27005 - มาตรฐานจัดการความเสี่ยงความปลอดภัยข้อมูล
- FAIR (Factor Analysis of Information Risk) - โมเดลเชิงปริมาณสำหรับความเสี่ยงข้อมูล
- OCTAVE - Operationally Critical Threat, Asset, and Vulnerability Evaluation
3. ประเภทของ Risk Models ทางการเงิน/ปริมาณ
- Market Risk Models - VaR (Value at Risk), Historical Simulation, Extreme Value Theory
- Credit Risk Models - PD, LGD, EAD
- Operational Risk Models - LDA (Loss Distribution Approach), Scenario Analysis
ขั้นตอนการจัดการความเสี่ยง (Risk Management Process) - 5 ขั้นตอน
- Identify (ระบุ) - ระบุสินทรัพย์ ภัยคุกคาม ช่องโหว่ และความเสี่ยง
- Analyze (วิเคราะห์) - วิเคราะห์ความน่าจะเป็นและผลกระทบ (Qualitative/Quantitative)
- Evaluate/Rank (ประเมิน/จัดอันดับ) - จัดลำดับความสำคัญของความเสี่ยง
- Treat (จัดการ) - Mitigate, Transfer, Accept, Avoid
- Monitor & Review (ติดตามและทบทวน) - ติดตามอย่างต่อเนื่อง ทบทวนเป็นระยะ
Threat Modeling Process (กระบวนการ Threat Modeling)
- ระบุวัตถุประสงค์และขอบเขต
- สร้างแผนภาพระบบ (Data Flow Diagram)
- ระบุภัยคุกคาม (ใช้ STRIDE หรือวิธีอื่น)
- ระบุช่องโหว่และช่องโหว่ที่อาจถูกใช้ประโยชน์
- ประเมินความเสี่ยงและจัดลำดับความสำคัญ
- พัฒนา Countermeasures (มาตรการตอบสนอง/ลดทอน)
- ตรวจสอบและยืนยัน
ตัวอย่าง Threat Scenario
สถานการณ์: แอปพลิเคชันใช้ MD5 สำหรับเข้ารหัสรหัสผ่าน
- Threat: โจมตี Brute Force / Rainbow Table
- Vulnerability: MD5 เป็นอัลกอริทึมเก่า ไม่ปลอดภัย มี Collision
- Risk: รหัสผ่านผู้ใช้ถูกถอดรหัสได้ → เข้าถึงระบบไม่ได้รับอนุญาต
- Countermeasure: ย้ายไปใช้ bcrypt, Argon2, หรือ PBKDF2
ความเสี่ยงหลักในความปลอดภัยเครือข่ายปัจจุบัน
- Phishing และ Social Engineering
- Ransomware
- Malware/Ransomware
- Supply Chain Attacks
- Cloud Vulnerabilities
- Insider Threats
- DDoS Attacks
- Zero-day Exploits
- IoT/OT Security Risks
- API Vulnerabilities
การพัฒนา Risk Management Model
- ระบุและประเมินความเสี่ยงที่มีอยู่และอาจเกิดขึ้น
- กำหนดกลยุทธ์จัดการความเสี่ยง
- ออกแบบกระบวนการควบคุมและรายงานความเสี่ยง
- สร้างระบบ Governance ด้านความเสี่ยง
- ติดตาม ติดตาม และปรับปรุงอย่างต่อเนื่อง
